Három időpont, nem egy határidő
Aki a nis2 bejelentési kötelezettség 24 óra kifejezésre keres, általában azzal az elképzeléssel találkozik, hogy egy szervezetnek egy napon belül mindent tudnia és bejelentenie kell. Ez nem igaz. A NIS2-irányelv 23. cikke egy jelentős incidens után három különálló időpontot különböztet meg: egy korai figyelmeztetés 24 órán belül, egy részletesebb bejelentés 72 órán belül, valamint egy végzetes jelentés egy hónapon belül. Mindegyik időpont más-más követelményt támaszthat, és az óra csak akkor kezd futni, amikor a szervezet tudomásul veszi az incidenst — nem attól a pillanattól, amikor az incidens valójában bekövetkezett.
Fontos előzetesen tudni: ez a bejelentési kötelezettség azokra a szervezetekre vonatkozik, amelyeket maguk is lényeges vagy fontos minősítésűnek nyilvánítottak a NIS2 alatt, tehát az I. és II. melléklet szektoraiból származó entitásokra. Azok a vállalkozások, amelyeket a láncon keresztül érinti — a nagybeszerző által biztonsági kérdőívet kapó kkv-beszállító — nem tartoznak maguk alá ebben a bejelentési kötelezettségben. Észrevehetik ugyan, hogy egy beszerzőpartner azt kérdezi, hogyan kezelik az incidenseket, de ez más, mint a törvényi bejelentési kötelezettség egy felügyeleti hatóságnál. Ha biztos abban, hogy szervezete melyik kategóriába tartozik, akkor az ellenőrzés néhány kérdés segítségével erre első orientációt ad.
Az első időpont: figyelmeztetés, nem elemzés
Az első 24 óra korai jelzésre szolgál, nem teljes elemzésre. Az irányelv ebben az összefüggésben korai figyelmeztetésről beszél: egy rövid üzenet arról, hogy valószínűleg jelentős incidens történhetett, és van-e gyanú, hogy az incidenst jogtalan cselekmény okozta, vagy határok között átfogó hatása lehet. Ami ebben az időpontban még hiányzik — a pontos ok, a terjedelem, az érintett rendszerek — nem kell jelen lennie. Ez pontosan az, ahol a félreértés rejlik: a 24 óra nem az incidens megoldásának vagy megértésének határideje, hanem annak bejelentésének határideje, hogy valamami történik.
A második időpont: első értékelés
72 órán belül egy olyan bejelentés következik, amely túlmegy az első figyelmeztetésen. Itt az incidens első értékelésére számítunk, annak súlyosságával és következményeivel, valamint amennyire lehetséges az incidenst jelző mutatók közlésével. Ez is kifejezetten közbenső lépés: az irányelv elismeri, hogy egy szervezet 72 órával a tudomásulvétel után gyakran még nem rendelkezik a teljes képpel. Amit azonban elvárunk, hogy a szervezet abban a pillanatban képes legyen bemutatni, mit állapított meg eddig, és milyen intézkedéseket hozott vagy fontolgat.
A harmadik időpont: a zárójelentés
A zárójelentés, legkésőbb egy hónappal a bejelentés után, az a hely, ahol a teljes körülmények rögzítésre kerülnek: az incidens részletes leírása, annak súlyossága és hatása, a fenyegetés típusa vagy az incidenst okozó alapvető oka, a meghozott és folyamatban lévő kockázatkezelő intézkedések, és ahol szükséges, a határok között átfogó hatások. Ha az incidens abban az időpontban még folyamatban van, az irányelv közbenső jelentésben és később zárójelentésben biztosít, amint az incidens kezelésre kerül.
Amit a szervezetnek magának kell tennie, és amit nem
Ez a három időpont arról szól, hogy mit jelentenek és mikor, nem pedig arról, hogy egy szervezet technikai szempontból hogyan kezelje az incidenst. Az ok felderítése, a rendszerek elkülönítése, a törvényszéki vizsgálat — ez speciális felek munkája, és kívül esik azon, amit az olyan felkészítő platform, mint a secria.eu, végez. A szervezet biokriminalisztikai dosszierjában az intézkedésekről és a felelősökről már rögzítettekre alapozva előkészítjük a szövegeket, amelyek a három időpont mindegyikénél szükségesek; az benyújtás mindig a szervezet saját feladata az illetékes felügyeleti hatóság portálján.
A pontos eljárás és a portál országonként eltér, mivel minden tagállam saját jogszabályokba ülteti át az irányelvet — Hollandiában a Kiberbiztonsági törvényen keresztül. Az olyan részletek, mint a felügyeleti hatóságnál való jelentkezés pontos folyamata, ezért legjobb közvetlenül a felügyeleti hatóságnál vagy a végleges nemzeti szövegben ellenőrizni. A secria.eu forrásainak nyomon követésének módja és a dátumok áttekintését a a forrásainkkkal kapcsolatos oldalon.
Miért ez több, mint csak egy határidő megjegyzése
A három időpontot csak akkor lehet teljesíteni, ha egy szervezet előzetesen tudja, hogy ki észleli az incidenst, ki jelenti azt és mely információk állnak már ehhez rendelkezésre. Ez pontosan az, ahol a zorgplichtmaatregelen és a meldproces találkoznak: egy olyan szervezet, amely intézkedéseit élő nyilvántartásként kezeli, mérlegelt felelőssel minden intézkedéshez, nem kell egy incidens esetén nulláról kezdenie annak kivizsgálásával, hogy ki felelős mire. Az intézkedések és a jelentési kötelezettség és más kötelezettségek közötti kapcsolatról további információk találhatók a a témák szituációnkénti áttekintésében találod meg.
Ha kérdéseket szeretne, hogy pontosan mi tartozik egy jelentős incidens alá, vagy hogyan viszonyul a jelentési kötelezettség az Ön szektorához, akkor a gyakorta ismételt kérdések oldala egy logikus következő lépés, valamint a felügyeleti hatóságtól vagy egy jogásztól való konzultáció az Ön konkrét helyzetéhez.
Ha először azt szeretné tudni, hogy szervezete egyáltalán a jelentési kötelezettség alá tartozik-e, végezzen el egy ingyenes NIS2-ellenőrzést. Ez néhány kérdésben jelzi az Ön helyzetét, magyarázattal és egy következő lépéssel — anélkül, hogy ehhez fiókra lenne szüksége.